Sauvegarder dans le cloud : quelles garanties avec le BaaS ?

Une sauvegarde n’a de valeur que si elle permet de restaurer les bonnes données, au bon moment et dans un délai compatible avec l’activité de l’entreprise. Derrière la simplicité apparente d’une sauvegarde dans le cloud se cachent donc plusieurs questions essentielles : où sont stockées les copies ? Sont-elles protégées d’un ransomware ? Qui surveille les sauvegardes ? Sont-elles réellement restaurables ?

Le Backup as a Service (BaaS) apporte une réponse à une partie de ces enjeux en transformant la sauvegarde en service. Mais toutes les offres ne présentent pas les mêmes garanties. Avant de choisir une solution, il faut donc regarder bien au-delà du volume de stockage disponible.

BaaS : sauvegarder dans le cloud ne signifie pas simplement stocker dans le cloud

Le principe du Backup as a Service consiste à fournir tout ou partie des fonctions de sauvegarde sous forme de service : infrastructure, stockage, politiques de sauvegarde et de rétention, supervision ou encore restauration, selon le périmètre retenu.

Pour l’entreprise, l’intérêt est notamment d’éviter d’avoir à gérer seule l’ensemble de l’infrastructure nécessaire à la protection de ses données. Mais attention à une confusion fréquente : stockage, synchronisation, réplication et sauvegarde ne répondent pas au même besoin.

Un mécanisme de synchronisation reproduit par exemple les modifications d’un fichier vers un autre emplacement. Sa suppression ou sa modification accidentelle peut également être répercutée. Une sauvegarde doit au contraire permettre de revenir à un état antérieur selon une politique de conservation définie. De la même manière, disposer de données dans le cloud ne signifie pas automatiquement disposer d’une stratégie de sauvegarde adaptée.

Pourquoi externaliser ses sauvegardes ?

Les systèmes d’information sont aujourd’hui hybrides.
Serveurs physiques, infrastructures virtualisées, applications SaaS, Microsoft 365, environnements cloud ou équipements répartis sur différents sites font cohabiter les données sur des infrastructures multiples.

Dans ce contexte, maintenir une stratégie de sauvegarde cohérente demande du temps et des compétences : surveillance des tâches, traitement des erreurs, contrôle des capacités, gestion de la rétention, sécurisation de l’administration ou encore tests de restauration.

À cela s’ajoute l’évolution de la menace cyber.

Lors d’une attaque, les sauvegardes peuvent elles-mêmes devenir une cible. Les compromettre permet à un attaquant de réduire fortement les possibilités de récupération de l’organisation.

L’externalisation prend donc tout son sens lorsqu’elle permet non seulement d’éloigner une copie des données de l’environnement de production, mais également de renforcer sa protection et sa capacité de restauration.

Quelles garanties attendre réellement d’un BaaS ?

Toutes les solutions BaaS n’apportent pas nécessairement le même périmètre ni le même niveau d’engagement. Plusieurs critères méritent donc une attention particulière.

La question essentielle reste donc : quel incident pourrait rendre simultanément indisponibles ma production et mes sauvegardes ?

L’infrastructure qui sauvegarde les données constitue elle-même un actif critique à protéger.

3. Le chiffrement et la maîtrise des accès

Une sauvegarde peut concentrer une part considérable du patrimoine informationnel de l’entreprise.
Sa confidentialité doit donc être préservée aussi bien pendant le transfert des données que lors de leur stockage. L’évaluation d’un service BaaS doit notamment prendre en compte :

• le chiffrement des flux ;
• la protection des données stockées ;
• la gestion des clés ;
• le contrôle des accès ;
• la protection des comptes disposant de privilèges élevés ;
• la traçabilité des opérations.

L’objectif est notamment d’éviter qu’une compromission des environnements de production entraîne mécaniquement celle des sauvegardes. Dans cette logique, le recours à une infrastructure certifiée ISO 27001 constitue un élément supplémentaire à prendre en compte dans l’évaluation du service.

La certification ISO 27001 ne signifie évidemment pas « risque zéro ». Elle constitue en revanche un élément concret pour évaluer la façon dont la sécurité de l’information est organisée et maîtrisée.

Lors de la comparaison de plusieurs offres BaaS, il reste important d’aller un cran plus loin que la présence d’une certification et de vérifier :

• quel est précisément son périmètre ;
• si le service de sauvegarde concerné entre dans ce périmètre ;
• comment les accès sont maîtrisés ;
• comment sont gérés les incidents et vulnérabilités ;
• quelles procédures encadrent la conservation, la restitution et la destruction des données.

Un logo ISO 27001 est une indication. Son périmètre concret est ce qui permet d’en apprécier la portée pour le service utilisé.

4. La localisation et la maîtrise des données

« Dans le cloud » n’est pas une localisation.
Une organisation doit pouvoir connaître le lieu d’hébergement de ses sauvegardes et les différents acteurs susceptibles d’intervenir dans la fourniture du service.

Il est notamment pertinent de vérifier :

• la localisation des infrastructures ;
• les responsabilités respectives du client et du prestataire ;
• les éventuels sous-traitants ;
• les conditions de conservation des données ;
• les possibilités de récupération ;
• les modalités de sortie du service et de réversibilité.

Ces questions revêtent une importance particulière pour les organisations manipulant des données sensibles ou soumises à des exigences spécifiques.

5. La supervision : sauvegarder ne suffit pas

Une sauvegarde signalée comme réussie ne démontre pas à elle seule que les données pourront être récupérées le jour où l’entreprise en aura besoin. C’est précisément l’une des différences importantes entre une technologie de sauvegarde et un service de sauvegarde managé.

Plusieurs questions doivent être posées :

• Qui surveille l’exécution des sauvegardes ?
• Comment les anomalies sont-elles détectées ?
• Qui intervient lorsqu’une tâche échoue ?
• Quel est le processus de traitement ?
• Comment la capacité disponible est-elle surveillée ?
• Quels rapports sont mis à disposition ?

Le service de sauvegarde cloud doit prévoir un contrôle quotidien dans le cadre du maintien en condition opérationnelle ainsi qu’une prise en charge automatique en cas de problème.

Autrement dit, la question à poser au prestataire n’est pas seulement : « Quelle technologie utilisez-vous ? ». Mais également : « Que se passe-t-il concrètement lorsqu’une sauvegarde échoue ? »

6. Tester réellement la restauration

C’est probablement le contrôle le plus important d’une stratégie de sauvegarde.
Une sauvegarde n’a de valeur opérationnelle que si elle peut être restaurée.
La vérification ne doit donc pas se limiter à consulter une console indiquant que les tâches se sont exécutées correctement. Des tests de restauration permettent de confronter les procédures prévues à la réalité.

Ils peuvent notamment permettre de vérifier :

• l’intégrité des données récupérées ;
• les niveaux de restauration disponibles ;
• le temps nécessaire à leur récupération ;
• les droits nécessaires pour déclencher l’opération ;
• la documentation de la procédure ;
• les dépendances nécessaires à la remise en fonctionnement.

Tester la restauration, c’est finalement tester l’utilité réelle de la sauvegarde.

7. Définir des RPO et RTO cohérents avec les métiers

Toutes les données ne présentent pas la même criticité et ne nécessitent donc pas le même niveau de protection.
Deux indicateurs permettent de traduire ce besoin.

1. Le RPO, Recovery Point Objective, définit le niveau maximal de perte de données acceptable. Il revient à répondre à une question simple : jusqu’à quel point pouvons-nous accepter de revenir en arrière ?
2. Le RTO, Recovery Time Objective, correspond au délai cible nécessaire au rétablissement d’un système ou d’un service.

Prenons deux applications représentant chacune 2 To de données.

Le volume est identique, mais les besoins peuvent être radicalement différents. Une application métier critique pourra nécessiter une fréquence de sauvegarde élevée et une restauration rapide. Un espace d’archives peu sollicité pourra accepter des objectifs très différents.

La capacité de stockage ne suffit donc pas pour dimensionner une stratégie BaaS.

C’est le besoin métier de restauration qui doit orienter l’architecture de sauvegarde, et non l’inverse.

Un BaaS protège-t-il contre les ransomwares ?

Un service BaaS n’empêche pas, à lui seul, une attaque par ransomware.
Prévention, protection des identités, segmentation, gestion des vulnérabilités, protection des terminaux, surveillance et réponse à incident constituent un ensemble plus large de mesures de cybersécurité.

En revanche, une stratégie de sauvegarde correctement conçue contribue directement à la capacité de récupération après une attaque.

Plusieurs mécanismes deviennent alors complémentaires :

• séparation entre production et sauvegarde ;
• externalisation ;
• immuabilité ;
• protection des privilèges ;
• authentification renforcée ;
• supervision ;
• politique de rétention appropriée ;
• tests de restauration ;
• sécurisation globale de l’environnement de sauvegarde, notamment dans le cadre d’un système de management de la sécurité de l’information tel que celui associé à la certification ISO 27001.

Une difficulté supplémentaire demeure : lors d’une compromission, il ne suffit pas de disposer de plusieurs sauvegardes. Il faut également pouvoir identifier un point de restauration suffisamment antérieur à la compromission pour éviter de réintroduire des données déjà affectées.

C’est pourquoi le BaaS doit s’inscrire dans une démarche plus globale de cyberrésilience.

BaaS, PRA et stockage cloud : des rôles complémentaires

Ces notions sont parfois confondues, alors qu’elles répondent à des objectifs différents.

• Le stockage cloud fournit principalement une ressource destinée à stocker les données.
• Le BaaS organise leur sauvegarde, leur conservation et leur restauration selon des politiques définies.
• Le PRA, ou Plan de Reprise d’Activité, répond à un périmètre plus large : remettre en fonctionnement les systèmes et services nécessaires à l’activité après un sinistre.

Les sauvegardes peuvent donc jouer un rôle fondamental dans un PRA, mais elles n’en constituent qu’une composante.

Pouvoir récupérer ses données ne signifie pas automatiquement pouvoir remettre en fonctionnement un système d’information complet dans le délai attendu.

Les 10 questions à poser avant de choisir son BaaS

Avant de comparer les prix au téraoctet, dix questions permettent d’évaluer plus concrètement les garanties apportées :

• Où mes sauvegardes sont-elles physiquement hébergées ?
• Comment sont-elles isolées de mon environnement de production ?
• Peuvent-elles être rendues immuables ?
• Le service et son infrastructure entrent-ils dans le périmètre d’une certification ISO 27001 ?
• Comment les comptes et accès administrateurs sont-ils protégés ?
• Qui supervise mes sauvegardes et intervient en cas d’échec ?
• À quelle fréquence les restaurations sont-elles testées ?
• Quels RPO et RTO puis-je réellement atteindre ?
• Quelle politique de rétention répond à mes besoins ?
• Comment récupérer mes données si je change de prestataire ?

Chez Access Group, la sauvegarde commence par la restauration

Pour construire une stratégie de sauvegarde pertinente, nous préférons partir du besoin métier avant de dimensionner le stockage.
Quelles données devons-nous récupérer ? Jusqu’à quel point dans le temps ? Quelle perte de données est acceptable ? Et dans quel délai l’activité doit-elle retrouver ses applications critiques ?

Cette démarche permet de travailler successivement sur :

1. l’identification des données et applications critiques ;
2. la définition des politiques de conservation ;
3. les objectifs RPO et RTO ;
4. l’architecture de sauvegarde ;
5. l’externalisation et la protection des copies ;
6. la supervision du service ;
7. les procédures et tests de restauration.

Le service de sauvegarde cloud Access Group externalise les sauvegardes des systèmes d’information installés sur site vers un cloud souverain hébergé en France sur un environnement certifié ISO 27001 / HDS. Il s’inscrit dans une logique 3-2-1-1-0 et intègre des contrôles d’intégrité ainsi que des tests réguliers de restauration.

Cette approche inscrit la sauvegarde dans une vision plus large de la résilience du système d’information.

Sauvegarde, cloud, cybersécurité et PRA ne doivent plus être pensés en silos lorsque le même objectif les réunit : permettre à l’entreprise de préserver ses données et de retrouver son activité après un incident.

Cette grille change la logique de comparaison : le sujet n’est plus uniquement le coût du stockage, mais la capacité réelle de récupération après un incident.